Чек-лист: подача уведомления в Роскомнадзор (обработка персональных данных)

● Вы обрабатываете персональные данные (клиенты, сотрудники, соискатели, пользователи сайта/приложения, подписчики рассылок и т. п.).

● Уточните статус уведомления:

○ уведомление ранее не подавалось; или
○ уведомление уже есть, но нужны изменения (сменился адрес, цели, категории данных/субъектов, меры защиты, ответственный, ИСПДн/базы, трансграничная передача и т. д.).

● Бумажное уведомление: заполнить распечатать подать лично или → → направить заказным письмом.

● Электронно с ЭЦП.

● Через Госуслуги: с помощью аккаунта организации/ИП.

● Субъект Р Ф, где зарегистрирован ИП/организация.

● Полное и сокращенное наименование + организационно-правовая форма.

● Адрес:

○ юридический;
○ почтовый (если совпадает — отметили соответствующее поле).

● Электронная почта оператора.

● ИНН и ОГРН/ОГРНИП.

● Выберите субъекты РФ, где фактически происходит обработка.

● При необходимости отметьте «все субъекты РФ».

● Составьте перечень целей (например: оформление заказов, поддержка пользователей, кадровый учёт, бухгалтерия, маркетинговые рассылки, аналитика и т. п.).

● Для упрощения заполнения сгруппируйте цели в макроцели в соответствии с Базовым перечнем целей обработки персональных данных в организации, составленным Regional Privacy Professionals Association (RPPA).

Для каждой цели заполните следующее:

● Категории субъектов (работники, соискатели, пользователи сайта, клиенты, контрагенты и т. д.).

● Категории персональных данных (ФИО, контакты, паспортные данные, банковские реквизиты и т. д.).

● Правовое основание (ч. 1 ст. 6 152-ФЗ).

● Перечень действий (сбор, запись, хранение, использование, передача, удаление, уничтожение и т. п.).

● Способы обработки (автоматизированная/ неавтоматизированная/ смешанная; с передачей по внутренней сети юридического лица/ без передачи по внутренней сети юридического лица; с передачей по сети Интернет/ без передачи по сети Интернет).

● Перечислите применяемые в вашей организации меры, предусмотренные статьями 18.1 и 19 152-ФЗ.

● Перечислите средства обеспечения безопасности: технические меры (на уровне категорий): антивирус, межсетевой экран, VPN/TLS, резервное копирование, шифрование и т. п.

● Укажите, используются ли шифровальные (криптографические) средства защиты: если используются, укажите класс СКЗИ, наименование, изготовители, серийные номера средств шифрования.

● Укажите лицо, ответственное за организацию обработки ПДн (для юрлица).

● Укажите дату начала обработки ПДн (по факту, часто совпадает с датой регистрации, но ориентируйтесь на реальное начало обработки).

● Укажите срок/условие прекращения обработки. Рабочая формулировка:

«Достижение целей обработки персональных данных или прекращение деятельности оператора — в зависимости от того, что наступит раньше».

● Отметьте, осуществляется ли трансграничная передача.

● Если да — подготовьте отдельное уведомление об осуществлении трансграничной передачи.

● Заполните сведения об используемых базах данных с указанием их местонахождения.

● Если «баз нет» как отдельного объекта в понимании формы — укажите хотя бы одну базу, расположенную по вашему адресу.

● Укажите организацию, которая хранит базу данных (если хранение выполняет сторонняя организация).

● Политика доступа: кто имеет доступ к ПДн и на каких условиях.

● Обучение сотрудников (вводное/периодическое).

● Физическая защита серверов/помещений (если применимо).

● Учет и документирование применения средств защиты.

● После заполнения формы отметьте подтверждение о порядке подачи.

● Нажмите кнопку «Отправить уведомление».

● Сохраните код и ключ (понадобятся для проверки статуса).

● Сначала сохраните черновик, проверьте формулировки, затем отправляйте.

● Закладывайте «запас» по целям: добавьте планируемые направления, если они реалистично появятся в ближайшей перспективе.

● Для контактов ответственного лучше указывать рабочую почту/номер (общие), а не личные.

● Если форма позволяет — допустимо использовать «иные персональные данные» и перечислить состав вручную, чтобы не дробить категории.

● Не детализируйте бренды/модели средств защиты — достаточно уровня «антивирус / межсетевой экран / резервное копирование».

● Учитывайте срок рассмотрения: до 30 дней.

● Проверяйте статус: после утверждения Роскомнадзор внесет оператора в реестр.

● Настройте контроль изменений: если меняются цели, категории данных/субъектов, способы обработки, инфраструктура, ответственный, трансграничная передача — готовьте уведомление об изменении сведений.